In vielen Unternehmen gibt es eine Klassifizierungsrichtlinie: öffentlich, intern, vertraulich, streng vertraulich. Sie steht im Handbuch, wurde einmal geschult und liegt seitdem in der Schublade. Im Alltag landen vertrauliche Angebote im falschen Postfach, Kundendaten in privaten Cloud-Speichern und seit Neuestem auch in KI-Assistenten.
Mit Microsoft Purview lässt sich das ändern. Wer Microsoft 365 nutzt, hat die nötigen Werkzeuge oft schon im Tenant, nur eben nicht eingeschaltet. Wir haben in den letzten Monaten Purview-Projekte begleitet, unter anderem bei einem BaFin-regulierten Finanzdienstleister.
Dieser Artikel zeigt, was Purview leistet, wo die Stolpersteine liegen und wie ein sinnvoller Einstieg aussieht.
Warum Compliance bei den Daten beginnt#
Prüfer fragen nicht mehr nur, ob es eine Richtlinie gibt. Sie fragen, wie sie technisch durchgesetzt wird. Drei Regelwerke treiben das gerade besonders:
- DSGVO. Personenbezogene Daten müssen nach dem Stand der Technik geschützt werden. Wer nicht weiß, wo diese Daten liegen, kann sie weder schützen noch fristgerecht löschen.
- NIS2. Das deutsche Umsetzungsgesetz ist seit Dezember 2025 in Kraft. Betroffen sind rund 30.000 Unternehmen, die Risikomanagement nachweisen, Vorfälle melden und die Geschäftsleitung in die Verantwortung nehmen müssen.
- DORA. Für Finanzunternehmen gilt seit Januar 2025 ein verbindlicher Rahmen für das IKT-Risikomanagement. Dazu gehört, Informationen zu identifizieren, zu klassifizieren und angemessen zu schützen.
Dazu kommt ein ganz praktisches Thema, die KI. Ein Assistent wie Microsoft 365 Copilot findet alles, worauf ein Mitarbeiter Zugriff hat. Zu weit geöffnete Ordner, die bisher niemand gefunden hat, werden plötzlich mit einer einfachen Frage auffindbar.
Was ist Microsoft Purview?#
Purview ist Microsofts Dach für Datensicherheit, Governance und Compliance. Dahinter steht kein einzelnes Produkt, eher ein Baukasten aus Funktionen, die direkt in Microsoft 365 stecken. Die wichtigsten Bausteine im Überblick:
| Baustein | Was er leistet | Typische Frage |
|---|---|---|
| Information Protection | Kennzeichnet Dokumente und E-Mails nach Vertraulichkeit, optional mit Verschlüsselung | Wie vertraulich ist dieses Dokument? |
| Data Loss Prevention (DLP) | Erkennt sensible Inhalte und verhindert, dass sie das Unternehmen ungewollt verlassen | Darf diese Datei nach außen? |
| Data Lifecycle Management | Regelt Aufbewahrung und Löschung nach festen Fristen | Wie lange müssen wir das behalten? |
| Audit | Protokolliert Zugriffe und Aktivitäten im Tenant | Wer hat wann was geöffnet? |
| eDiscovery | Durchsucht und sichert Inhalte für rechtliche Verfahren | Was müssen wir für die Anfrage vorlegen? |
| Insider Risk Management | Erkennt auffälliges Verhalten im Umgang mit Daten | Lädt jemand vor dem Austritt massenhaft Dateien herunter? |
| DSPM für KI | Zeigt, welche sensiblen Daten in Copilot und anderen KI-Tools landen | Was geben Mitarbeiter in ChatGPT ein? |
Einzelne Bausteine einzuschalten bringt wenig. Entscheidend ist die Reihenfolge, und am Anfang stehen fast immer die Vertraulichkeitsbezeichnungen.
Vertraulichkeitsbezeichnungen: das Fundament#
Eine Vertraulichkeitsbezeichnung, im Purview-Alltag meist einfach Label genannt, ist eine Markierung, die in der Datei selbst steckt. Sie reist mit dem Dokument mit, auch wenn es per Mail verschickt oder auf einen USB-Stick kopiert wird. Ein Label kann drei Dinge auslösen:
- Sichtbare Kennzeichnung durch Kopfzeile, Fußzeile oder Wasserzeichen.
- Verschlüsselung, sodass nur berechtigte Personen das Dokument öffnen können, egal wo es liegt.
- Folgeregeln, denn DLP, Aufbewahrung und der Schutz vor KI-Zugriffen bauen auf dem Label auf.
Manuell oder automatisch? Mitarbeiter können Labels selbst setzen. Verlassen sollte man sich darauf allein nicht. Purview kennt deshalb zwei Wege der automatischen Klassifizierung:
Clientseitig arbeitet Purview direkt in Word, Excel, Outlook und PowerPoint. Erkennt es beim Schreiben etwa IBANs, Ausweisnummern oder Gesundheitsdaten, schlägt es ein Label vor oder setzt es selbst.
Dienstseitig prüft Purview Inhalte in SharePoint, OneDrive und Exchange im Hintergrund, auch Altbestände. Niemand muss dazu eine Datei öffnen.
Drei Stolpersteine aus der Praxis#
Zu viele Labels. Fachabteilungen wünschen sich gern ein fein abgestuftes Modell mit acht oder mehr Stufen. In der Praxis überfordert das die Mitarbeiter, und falsch gesetzte Labels sind schlimmer als gar keine. In einem aktuellen Projekt haben wir das Modell deshalb auf fünf Labels reduziert. Unsere Faustregel: Was ein Mitarbeiter nicht in drei Sekunden entscheiden kann, wird falsch entschieden.
Verschlüsselung und externe Partner. Wirtschaftsprüfer, Berater und Dienstleister arbeiten oft direkt in gemeinsamen SharePoint-Bereichen mit. Verschlüsselung prüft bei jedem Öffnen die Identität. Gastkonten und Sicherheitsgruppen ohne E-Mail-Adresse kann der Schutzdienst dabei nicht immer auflösen, und gemeinsames Bearbeiten bricht ab. Die Lösung war hier, erst die höchste Stufe zu verschlüsseln und diese Entscheidung als dokumentierte Risikoakzeptanz beim Informationssicherheitsbeauftragten festzuhalten.
Die Richtlinie existiert, wird aber nicht gelebt. Die erste Purview-Analyse zeigt oft, was vorher niemand sehen wollte: offene Freigabelinks, verwaiste Gastkonten, vertrauliche Daten in allgemeinen Teams. Das ist unangenehm, aber ein ehrlicher Ausgangspunkt. Technik allein reicht dabei nicht. Kurze Schulungen und klare Beispiele pro Label entscheiden, ob das Modell im Alltag ankommt.
Copilot und KI: warum Purview vor dem Rollout kommt#
Microsoft 365 Copilot erfindet keine neuen Berechtigungen. Er nutzt die vorhandenen, und zwar alle. Ein Ordner, der versehentlich für alle Mitarbeiter offensteht, war bisher gut versteckt. Mit Copilot genügt die Frage nach den Gehaltsdaten der Abteilung.
Purview setzt hier an mehreren Stellen an:
- Labels werden respektiert. Copilot berücksichtigt die Vertraulichkeitsbezeichnungen der Inhalte, auf die er zugreift. Antworten zeigen das strengste Label der verwendeten Quellen an, damit Nutzer wissen, wie sensibel das Ergebnis ist.
- DSPM für KI macht sichtbar, welche sensiblen Daten in Copilot-Anfragen und in externen KI-Diensten wie ChatGPT oder Gemini landen, und schlägt Gegenmaßnahmen vor.
- DLP kann verhindern, dass besonders geschützte Inhalte überhaupt von Copilot verarbeitet werden.
Die Reihenfolge ist deshalb klar: erst Berechtigungen aufräumen und Labels einführen, dann Copilot ausrollen. Andersherum wird aus einem Produktivitätswerkzeug ein Suchwerkzeug für Daten, die niemand finden sollte.
Lizenzen: was in welchem Plan steckt#
Viele Unternehmen haben mehr Purview im Tenant, als sie nutzen. Vereinfacht gilt:
| Plan | Enthalten (Auswahl) |
|---|---|
| Microsoft 365 Business Premium | Manuelle Labels mit Verschlüsselung, DLP für Exchange, SharePoint und OneDrive, Standard-Aufbewahrung, Standard-Audit |
| Microsoft 365 E3 | Im Kern wie Business Premium, ohne die Grenze von 300 Nutzern |
| Microsoft 365 E5 oder E5 Compliance als Add-on | Zusätzlich automatische Labels, DLP für Endgeräte und Teams, Insider Risk Management, erweitertes Audit, eDiscovery Premium, KI-Funktionen in DSPM |
Microsoft passt die Pakete regelmäßig an. Vor einem Projekt lohnt deshalb ein Blick auf die tatsächlich vorhandenen Lizenzen. Oft zeigt sich, dass für den Einstieg nichts zugekauft werden muss.
Purview einführen in sechs Schritten#
So gehen wir in unseren Projekten vor:
- Bestandsaufnahme. Welche Daten gibt es, wo liegen sie und wer hat Zugriff? Welche regulatorischen Anforderungen gelten für das Unternehmen?
- Klassifizierungsmodell festlegen. Vier bis fünf Stufen, abgestimmt mit Informationssicherheit und Datenschutz. Hier fällt auch die Entscheidung, ab welcher Stufe verschlüsselt wird.
- Berechtigungen bereinigen. Offene Freigaben schließen, Gastkonten prüfen, Teams und SharePoint-Bereiche aufräumen.
- Labels veröffentlichen und pilotieren. Zuerst manuell mit einer Pilotgruppe, mit einem sinnvollen Standardlabel für neue Dokumente.
- Automatisieren im Simulationsmodus. Automatische Labels und DLP-Regeln laufen zunächst nur beobachtend. Erst wenn die Ergebnisse stimmen, werden sie aktiviert.
- Betrieb und Kontrolle. Berichte auswerten, Regeln nachschärfen, neue Anforderungen einarbeiten. Mit der Einführung ist Purview nicht erledigt, es gehört in den laufenden Betrieb.
Fazit#
Ob Compliance funktioniert, zeigt sich heute am einzelnen Dokument. Microsoft Purview bringt die Werkzeuge dafür mit, und viele Unternehmen haben sie bereits lizenziert. Der Erfolg hängt weniger an der Technik als an einem schlanken Klassifizierungsmodell, sauberen Berechtigungen und einer Einführung, die Mitarbeiter mitnimmt.
Spätestens vor dem Start mit Copilot sollte das Fundament stehen. Wer die Diskussion um eigene IT oder Dienstleister führt, findet die Argumente in unserem Vergleich MSP oder eigener IT-Admin.
Sie wollen wissen, wo Ihr Unternehmen bei Purview steht? Sprechen Sie mit uns. Wir prüfen Ihre Lizenzen und Ihren Tenant und sagen Ihnen klar, wo sich der Einstieg lohnt.
Quellen#
- Microsoft Learn, Informationen zu Vertraulichkeitsbezeichnungen
- Microsoft Learn, Purview für Datensicherheit und Compliance bei KI und Copilot
- BSI, NIS-2-regulierte Unternehmen
- EUR-Lex, Verordnung (EU) 2022/2554 (DORA)